Data from “almost every Pakistani Bank” stolen & sold on the dark web

พบธนาคารในปากีสถานแทบทั้งหมดถูกเปิดเผยข้อมูลในตลาดมืด ถือว่าเป็นการบุกรุกที่ใหญ่ที่สุดที่เคยเกิดขึ้นกับธนาคารในปากีสถาน คาดว่าแฮกเกอร์ได้ขโมยข้อมูลทางการเงินของผู้ถือบัญชีกว่า 8,000 รายจากธนาคารอย่างน้อย 10 แห่งในปากีสถาน และข้อมูลเหล่านี้กำลังถูกวางในตลาดมืด

จากการสืบสวนเบื้องต้นระบุว่าธนาคารเกือบทั้งหมดในปากีสถานประสบปัญหาด้านความปลอดภัยของระบบ จากการสอบสวนคาดว่าแฮกเกอร์ไม่ได้อยู่ในปากีสถานและสามารถขโมยเงินเป็นจำนวนมากจากบัญชีของผู้ใช้ ทำให้เห็นได้ชัดว่าธนาคารจำเป็นต้องปรับปรุงระบบรักษาความปลอดภัยเพื่อป้องกันการโจมตีในลักษณะนี้ โดยยังไม่สามารถระบุได้ว่าเหตุการณ์ดังกล่าวได้เกิดขึ้นตั้งแต่เมื่อไหร่ มีคำสั่งโดยธนาคารแห่งประเทศปากีสถานให้ธนาคารทุกแห่งมีการตรวจสอบการใช้บัตรแบบเรียลไทม์ซึ่งเป็นส่วนหนึ่งของมาตรการป้องกัน

จากเหตุการณ์ที่เกิดขึ้นส่งผลให้ปัจจุบันธนาคารเกือบ 10 แห่ง ต้องทำการปิดกั้นการทำธุรกรรมระหว่างประเทศทั้งหมดของบัตรเดบิตและบัตรเครดิต บริการธนาคารทางโทรศัพท์ออนไลน์ของธนาคารขนาดใหญ่ทั้งหมดในปากีสถานถูกระงับชั่วคราวตั้งแต่วันที่ 3 พฤศจิกายนเป็นต้นไป และธนาคารแห่งประเทศปากีสถานได้รับการติดต่อจากธนาคารพาณิชย์หลายแห่งให้ทำการปิดกั้นการชำระเงินระหว่างประเทศเพื่อเป็นมาตรการป้องกันเบื้องต้น

ที่มา:hackread

Microsoft is Porting Sysinternals Tools to Linux – ProcDump Released

ไมโครซอฟท์ได้เผยแพร่เครื่องมือ ProcDump ใน Sysinternals สำหรับใช้งานบน Linux โดยก่อนหน้านี้ถูกพัฒนาขึ้นโดยบริษัท Winternals และถูกซื้อโดย Microsoft ในปี 2006

เครื่องมือ ProcDump เป็นโปรแกรมสารพัดประโยชน์ ช่วยให้ผู้ใช้งานสามารถตรวจสอบโปรเซสด้วยการสร้าง cash dump หรือ core dump เพื่อดูว่าโปรเซสใดเป็นต้นต่อของปัญหา เช่นเมื่อพบว่ามีการใช้ CPU ที่สูงในช่วงเวลาต่าง ๆ หรือเมื่อเครื่องมีอาการแฮงค์ จากรายงานระบุว่า ProcDump ของ Linux จะมีคุณสมบัติไม่เหมือนกับเวอร์ชันบน Windows ทั้งหมด โดยคุณสมบัติของ Linux มีรายละเอียดดังต่อไปนี้

• -C : สำหรับกำหนดเกณฑ์สูงสุดที่ CPU ถูกใช้งาน เพื่อให้ทำการสร้าง dump ไฟล์ของโปรเซสออกมา (กำหนดค่าได้ตั้งแต่ 0 - 100)

• -c : สำหรับกำหนดเกณฑ์ต่ำสุดที่ CPU ถูกใช้งาน เพื่อให้ทำการสร้าง dump ไฟล์ของโปรเซสออกมา (กำหนดค่าได้ตั้งแต่ 0 - 100)
• -M : สำหรับกำหนดเกณฑ์สูงสุดที่ CPU ถูกใช้งาน เพื่อให้ทำการสร้าง dump ไฟล์ของโปรเซสออกมาเมื่อเกินเกณฑ์ดังกล่าว (ในหน่วย MB)

• -m : สำหรับกำหนดเกณฑ์ต่ำสุดที่ CPU ถูกใช้งาน เพื่อให้ทำการสร้าง dump ไฟล์ของโปรเซสออกมาเมื่อต่ำกว่าเกณฑ์ดังกล่าว (ในหน่วย MB)
• -n : จำนวน dump ไฟล์ที่จะให้สร้างก่อนที่จะออก
• -s : จำนวนวินาทีก่อนที่จะให้เริ่มสร้าง dump ไฟล์ (ค่าเริ่มต้นเป็น 10)

โดยต้องมีการระบุค่าของโปรเซสเป้าหมายเป็นอย่างใดอย่างหนึ่งจาก
• -p : pid (Process ID) ของโปรเซสที่ต้องการ
• -w : ชื่อของโปรเซสที่กำลังทำงาน

ทั้งนี้ Microsoft มีแผนที่จะทำเช่นเดียวกันกับ ProcMon และ Process Explorer หากมีการร้องขอจากผู้ใช้งานมากขึ้น

ผู้ใช้ Linux สามารถศึกษาข้อมูลการติดตั้งได้จากหน้า https://github.

Apache Releases Security Advisory for Apache Struts versions 2.3.36 and prior

Apache มีการปล่อยแก้ไขช่องโหว่ในไลบารีของ commons-fileupload (CVE-2016-1000031) ที่ถูกใช้ใน Apache Struts เวอร์ชัน 2.3.36 และเวอร์ชั่นก่อนหน้า ส่งผลให้สามารถโจมตีผ่านช่องโหว่นี้เพื่อควบคุมระบบได้ แต่ Struts เวอร์ชันตั้งแต่ 2.5.12 เป็นต้นไปจะไม่ได้รับผลกระทบ

แนะนำให้ผู้ช้งาน Apache Struts เวอร์ชัน 2.3.36 และก่อนหน้า ทำการอัพเดตแพทช์ความปลอดภัย และอัปเกรดเป็นไลบรารี Commons FileUpload เวอร์ชันปัจจุบันคือ 1.3.3

ที่มา: us-cert

Google pushed out the November edition of its monthly Android security updates

Google ได้เริ่มทยอยปล่อย patch ด้านความปลอดภัยของ Android ประจำเดือนพฤศจิกายนให้กับผู้ให้บริการและผู้ผลิตอุปกรณ์ชุดใหม่เพื่อติดตั้ง สำหรับผู้ใช้งานคาดว่าจะเริ่มทยอยปล่อยในอีกไม่ช้า

Google แก้ไขช่องโหว่ 3 ช่องโหว่ เกี่ยวข้องกับการ Remote Code Execution (RCE) ได้รับการจัดอันดับความรุนแรงเป็น critical 2 ช่องโหว่ (CVE-2018-9527, CVE-2018-9531) และความรุนแรง high อีก 1 ช่องโหว่ (CVE-2018-9521) นอกจากนี้ยังมีการแก้ไขช่องโหว่เกี่ยวกับการยกระดับสิทธิ์ (Privilege Escalation) อีก 2 ช่องโหว่ (CVE-2018-9536, CVE-2018-9537) จัดอยู่ในระดับความรุนแรง critical เช่นกัน โดยช่องโหว่ทั้งหมด พบได้ในส่วนของมีเดีย framework บน Android

ทั้งนี้ส่วนที่น่าจะได้รับความสนใจสำหรับแพทช์ในรอบนี้น่าจะเป็นช่องโหว่ 18 รายการ ที่เกี่ยวข้องกับไลบรารี่ Libxaac ของ Android นอกเหนือจากนี้ยังมีการแก้ไขช่องโหว่ในส่วนของ Qualcomm CPU ที่ถูกใช้ในอุปกรณ์ของ Android ด้วย แต่ยังไม่มีการให้รายละเอียดเพิ่มเติมใดๆ เนื่องจาก Qualcomm จะเป็นผู้ให้ข้อมูลเอง

ที่มา: theregister

Crooks offered for sale private messages for 81k Facebook accounts

มีการเสนอขายข้อมูลแชทส่วนตัวจากบัญชีผู้ใช้ Facebook กว่า 81,000 คน โดยถูกขายในราคา 10 cents ต่อหนึ่งบัญชี

สำนักข่าว BBC รายงานการค้นพบการเสนอขายส่วนตัวจากบัญชีผู้ใช้ Facebook กว่า 81,000 คนในเว็บไซต์ใต้ดิน โดยสำนักข่าว BBC ได้ร่วมกับบริษัทรักษาความปลอดภัยทางไซเบอร์ Digital Shadows ตรวจสอบและยืนยันว่า
ข้อมูลที่ถูกนำมาขายจำนวน 81,000 นั้นเป็นข้อมูลจริง โดยบัญชีจำนวนมากที่มีการเสนอขายจะเป็นข้อมูลจากยูเครนและรัสเซีย แต่ก็มีบางส่วนที่มาจากยุโรปและประเทศอื่นๆ

ผู้ขายได้ใช้ชื่อว่า “FBSaler” อ้างว่ามีข้อมูลแชทส่วนตัวของผู้ใช้ Facebook อีกกว่า120 ล้านคนและปล่อยขาย บัญชีละ 10 cents
โดยทีมจาก Facebook ได้ออกมาบอกว่าข้อมูลที่หลุดไปเกิดมาจากการใช้งาน extensions ที่เป็นอันตรายของผู้ใช้งานเอง ไม่เกี่ยวข้องกับกรณี Facebook ถูกแฮก

ที่มา: securityaffairs

Cisco zero-day exploited in the wild to crash and reload devices

Cisco ได้ออกมาแจ้งเตือนลูกค้าถึงผลกระทบของช่องโหว่ Zero-day ใน Session Initiation Protocol (SIP) โดยช่องโหว่ได้รับ CVE-2018-15454 ช่องโหว่ กระทบอุปกรณ์ Adaptive Security Appliance (ASA) และ Firepower Threat Defense (FTD) ที่มีการใช้ SIP

ผู้โจมตีจะทำการ remote โดยที่ไม่ต้องทำการยืนยันสิทธิ์ผ่านช่องโหว่และทำให้เครื่องมีการใช้งาน CPU สูงขึ้น และเกิด Denial-of-Service ของระบบที่ถูกโจมตี ข้อบกพร่องนี้จะส่งผลต่อซอฟต์แวร์ ASA เวอร์ชัน 9.4 ขึ้นไปและซอฟต์แวร์ FTD เวอร์ชัน 6.0 หรือสูงกว่าหากมีการเปิดใช้งาน SIP โดย SIP จะถูกเปิดใช้งานเป็นค่าเริ่มต้น

รายชื่อผลิตภัณฑ์ที่ได้รับผลกระทบประกอบด้วย 3000 Series Industrial Security Appliance (ISA); ASA Virtual; ASA 5500-X firewall; ASA service modules for Catalyst 6500 และ 7600 switches และ routers; Firepower 2100, 4100 และ 9300; FTD Virtual

ขณะนี้ยังไม่มีแพทช์หรือวิธีแก้ปัญหา แต่สามารถป้องกันการโจมตีด้วยการปิดการตรวจสอบ SIP และกรองการรับส่งข้อมูลด้วยการตั้งค่า "Sent-by Address" เป็น 0.0.0.0 แทน

ที่มา:securityweek

Windows 10 Bug Let UWP Apps Access All Files Without Users’ Consent

เกิด Bug ใน Windows 10 ที่ให้แอปพลิเคชั่น Universal Windows Platform (UWP) เข้าถึงไฟล์ทั้งหมดโดยไม่ได้รับความยินยอมจากผู้ใช้

Microsoft แก้ไขข้อบกพร่องในระบบปฏิบัติการ Windows 10 ด้วยแพตช์ประจำเดือนตุลาคมปี 2018 (เวอร์ชัน 1809) ซึ่งอนุญาตให้แอปใน Microsoft Store มีสิทธิ์ในระบบไฟล์ที่ครอบคุลมในการเข้าถึงไฟล์ทั้งหมดในคอมพิวเตอร์ของผู้ใช้โดยไม่ได้รับความยินยอม

Microsoft ได้เปิดตัวแพลตฟอร์มทั่วไปที่เรียกว่า Universal Windows Platform (UWP) เริ่มใช้งานใน Windows 10 ซึ่งช่วยให้แอปพลิเคชั่นสามารถทำงานได้บนอุปกรณ์ที่ใช้ Windows 10 ทั้งหมดได้แก่ PC, Xbox, IoT, Surface Hub และ Mixed-reality headset

แอปพลิเคชั่น UWP มีความสามารถในการเข้าถึง API บางไฟล์เช่นรูปภาพเพลงหรืออุปกรณ์ต่างๆ เช่นกล้องถ่ายรูปและไมโครโฟน UWP สามารถเข้าถึงไดเร็กทอรีที่มีการติดตั้งแอปในระบบของผู้ใช้และแอปสามารถจัดเก็บข้อมูลของผู้ใช้ (local, roaming และ temporary folders) ได้ และมีความสามารถ broadFileSystemAccess (Broad Files System Access) ช่วยให้แอปพลิเคชั่นสามารถเข้าถึงระบบไฟล์ได้ในระดับเดียวกับผู้ใช้ที่เปิดตัวแอปพลิเคชันนั้นๆ แต่ต้องได้รับการยินยอมจากผู้ใช้ก่อน

Sébastien Lachance นักพัฒนาของ Microsoft เรียนรู้เกี่ยวกับข้อผิดพลาดนี้บน Windows 10 รุ่นก่อนหน้าแพตช์ประจำเดือนตุลาคม 2018 ในแอปพลิเคชันที่เขาพัฒนาที่ใช้สิทธิ์ broadFileSystemAccess โดยไม่แสดงข้อความแจ้งเกี่ยวกับสิทธิ์ในการเข้าถึงระบบไฟล์ ทำให้ Windows 10 จนกระทั่งรุ่น 1809 แอปพลิเคชันสามารถเข้าถึงระบบไฟล์ทั้งหมดโดยไม่ต้องแจ้งให้ผู้ใช้อนุญาต

ทั้งนี้วิศวกรของ Microsoft ได้อธิบายกับ Lachance ได้แก้ปัญหาที่เกิดขึ้นโดยการปิดการตั้งค่า 'broadFileSystemAccess' เป็นค่าเริ่มต้น ซึ่งแอปพลิเคชั่น UWP ทั้งหมดอาจจำเป็นต้องได้รับการปรับปรุงเพื่อป้องกันการขัดข้อง

แต่เนื่องจากมีการหยุดให้อัปเดต Windows 10 บนแพตช์ประจำเดือนตุลาคมปี 2018 จึงแนะนำให้ตั้งค่าก่อนที่จะเปิดตัวแอปพลิเคชันแทนก่อน โดยให้เข้าไปปิดการอัพเดต ที่ Windows 10 Settings → Privacy → File system
ที่มา:thehackernews

Apple Fixes Creepy FaceTime Vulnerability, Crash Bug in macOS, and More

Apple ทำการออก patch เพื่อแก้ไขช่องโหว่ด้านความปลอดภัยให้กับอุปกรณ์ต่างๆ ประกอบไปด้วย iOS 12.1, Safari 12.0.1, iCloud for Windows, iTunes, watchOS 5.1, tvOS 12.1และ macOS ผู้ใช้งานควรทำการ update patch

iOS 12.1 มีการแก้ไขช่องโหว่บน FaceTime ที่ถูก Natalie Silvanovich นักวิจัยด้านความปลอดภัยของ Google Project Zero ค้นพบช่องโหว่ (CVE-2018-4367) ที่ทำให้ผู้โจมตีสามารถ remote เรียกใช้โค้ดผ่านช่องโหว่ Facetime เมื่อเริ่มทำการใช้งาน รวมไปถึงแก้ไขอีก 3 ช่องโหว่ที่มีผลกับหน่วยความจำ

macOS Sierra และ High Sierra มีการแก้ไขช่องโหว่ที่ผู้โจมตีสามารถทำให้เครื่อง macOS เกิดการ crash ได้เมื่อเครื่องเชื่อมต่อ WiFi Network เดียวกับผู้โจมตี ช่องโหว่นี้ค้นพบโดย Kevin Backhouse และได้รับ CVE-2018-4407 ช่องโหว่นี้สามารถเรียกใช้โดยส่ง packet ที่เป็นอันตรายไปยังอุปกรณ์ที่มีช่องโหว่ในเครือข่าย WiFi เดียวกัน

รายละเอียดช่องโหว่อื่นๆสามารถดูได้จาก Apple security [https://support.

Logical Bug in Microsoft Word’s ‘Online Video’ Allows Code Execution

Microsoft Office ได้รับผลกระทบจากช่องโหว่ของ feature “online video” ใน Word ทำให้ผู้โจมตีสามารถรันคำสั่งที่เป็นอันตรายได้

นักวิจัยด้านความปลอดภัย Cymulate กล่าวว่า ปัญหาดังกล่าวส่งผลกระทบต่อผู้ใช้งาน Microsoft Office 2016 และก่อนหน้า เป็นปัญหาเมื่อมีการแนบ online video บนเอกสาร ปัญหาเกี่ยวข้องกับไฟล์ document.

New iPhone Passcode Bypass Found Hours After Apple Releases iOS 12.1

หลังจากปล่อย iOS 12.1 ออกมาได้ไม่นาน ก็มีผู้ค้นพบช่องโหว่ที่สามารถผ่าน Passcode ของเครื่อง และสามารถเข้าถึงข้อมูลรายชื่อผู้ติดต่อที่อยู่บนเครื่องที่ถูกล๊อคอยู่ได้

Jose Rodriguez นักวิจัยด้านการรักษาความปลอดภัยของสเปนได้ให้ข้อมูล และยืนยันว่าค้นพบปัญหาที่ช่วยให้สามารถเข้าถึงข้อมูลของผู้ใช้งาน iPhone ในระบบปฏิบัติการ iOS 12.1 เวอร์ชันล่าสุด โดยปัญหานี้อาศัยช่องโหว่จากปัญหาของ Group FaceTime ซึ่งถูกเพิ่มขึ้นมาใหม่ใน iOS 12.1 ช่วยให้ผู้ใช้สามารถแชทวิดีโอกับคนอื่นได้มากกว่า 2 คน และมากสุดถึง 32 คน โดยสามารถผ่าน Passcode ได้แม้ไม่มีการเปิดใช้งาน Siri หรือ VoiceOver screen reader ไว้ ซึ่งแตกต่างและง่ายกว่าการค้นพบก่อนหน้านี้

โดยมีขั้นตอนทดสอบง่ายๆ ดังต่อไปนี้
1. โทรไปยังเครื่องเป้าหมาย หรือถ้าไม่รู้จริงๆ ก็ต้องถามผ่าน Siri หรือคุยผ่าน Siri ให้โทรไปหาเบอร์ของเรา
2. เมื่อโทรติดแล้ว ให้เลือกใช้งาน "Facetime"
3. กดเลือกไปที่ "Add Person"
4. กดเครื่องหมาย + เพื่อเข้าถึงรายชื่อผู้ติดต่อบนเครื่องเป้าหมาย และใช้ 3D Touch เพื่อเลือกดูข้อมูลของรายชื่อผู้ติดต่อแต่ละคน

หรือสามารถดูวิดีโอสาธิตได้จากลิงค์ที่มาด้านล่าง และในส่วนของปัญหานี้ยังไม่ได้รับการแก้ไขจาก Apple แต่อย่างไร

ที่มา : thehackernews